Portal cativo e bloqueo da VPN: quen se move primeiro

O portal do hotel quere un navegador antes de deixar pasar ningún tráfico. A súa VPN négase a deixar pasar tráfico antes de que o seu túnel estea levantado. Cada lado agarda polo outro, e ambos se comportan exactamente como están configurados. Só dúas ordes rompen ese bloqueo, e difiren no que expón mentres o oco está aberto. Elixa unha a propósito en lugar de tocar calquera axuste que faga cargar o navegador.

Dúas ordes, unha delas funciona

Ou a rede admíteo primeiro e o túnel chega despois, ou abre unha excepción estreita para o portal e logo restaura o bloqueo. Ambas son lexítimas. O que non é lexítimo é desactivar o bloqueo e esquecerse de volvelo pór.

As dúas ordes non son igual de boas en todas as situacións. Un dispositivo xestionado cun proceso de admisión obrigatorio ten unha resposta, e un portátil persoal nun Wi-Fi de hotel ten outra. A comparación trata do que renuncia cada opción.

Comece por saber cal das dúas admiten realmente o seu cliente e a súa política de dispositivos.

Opción A: a rede admíteo e despois conéctase o túnel

Confirme o nome de rede esperado e logo use o aviso de inicio de sesión do sistema operativo ou o fluxo de portal cativo que admita o cliente. En iPhone e iPad, pechar a folla de inicio de sesión pode cortar a asociación ou mantela cun aviso de que a rede non ten internet, e eses son puntos de partida distintos. Complete primeiro o paso de admisión e logo levante o túnel. Esta orde mantén o bloqueo intacto durante todo o tempo no que o túnel está baixado.

A trampa é que un portal que autoriza o acceso a internet non autenticou a súa conta da VPN. O túnel aínda ten que conectarse despois, e pode fallar polos seus propios motivos. A admisión e a autenticación son sucesos separados que a xente fusiona nun.

Se a admisión non deixa de caducar, fixe se o portal volve preguntar, se cae a rede ou se só falla a VPN.

Opción B: unha excepción estreita de inicio de sesión e logo restaurar o bloqueo

A alternativa é permitir o tráfico do portal mentres o bloqueo segue vixente no demais, iniciar sesión e logo eliminar a excepción. A excepción ten que ser estreita: un destino ou un rango de enderezos, durante o inicio de sesión, co bloqueo restaurado inmediatamente despois. Unha xanela temporal ampla é a forma en que un inicio de sesión de dous minutos se converte nunha tarde de tráfico sen protección.

Saiba que implementa realmente o seu cliente. OpenVPN Connect en macOS documenta a detección de portal cativo por separado da súa opción que bloquea o acceso a internet mentres a VPN está en pausa ou se reconecta. Detectar un portal e permitir o seu tráfico son tarefas relacionadas, non promesas intercambiables.

Nun dispositivo xestionado, siga o proceso de admisión configurado en lugar de inventar unha excepción.

Que expón o oco, e a quen

A parte interesante do bloqueo non é a pestana do navegador diante de vostede. É todo o demais que comeza a usar a rede no momento en que aparece a conectividade: correo, sincronización de fotos, comprobacións de actualizacións, un cliente de chat que se reconecta, un axente de copias de seguridade que se retoma.

Unha xanela de navegador silenciosa non lle di nada sobre iso. Peche ou pause o traballo sensible antes de calquera intervalo permitido de acceso directo, e comprobe que se executa ao iniciar sesión. En Android, a VPN sempre activa combinada co bloqueo de conexións fóra da VPN é o control relevante, e unha excepción arbitraria de ruta non substitúe entendelo.

Este é o único lugar onde o consello antigo sobre xanelas temporais de acceso aínda vale. A preocupación era correcta incluso onde o mecanismo non o era.

Como escoller e como confirmalo

Escolla a opción A cando o dispositivo ou o cliente admitan un fluxo de portal real, porque mantén o bloqueo intacto en todo momento. Escolla a opción B cando non se poida chegar ao portal doutra maneira, e trate a excepción como un cambio con tempo limitado e un responsable.

Logo confirme a secuencia e non o resultado:

curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'

Complete a admisión, estableza o perfil previsto, restaure calquera control de bloqueo cambiado temporalmente e logo faga unha petición nova e inocua e confirme que segue o túnel. Unha petición que ten éxito porque o bloqueo segue desactivado non demostra nada sobre o túnel.

Cambiar a saída da VPN non renovará unha sesión de hotel caducada. Son sucesos distintos, e confundilos envíao a buscar no lugar equivocado.